[Sécurité] WireGuard: Comprendre et installer ce VPN nouvelle génération

[Violence]

Le tutoriel d’installation est disponible sur le wiki en suivant le lien ci-dessous :

https://wiki.planete-warez.net/fr/informatique/sécurité/wireguard

---

WireGuard est un protocole VPN de nouvelle génération sous licence GPLv2 (ou MIT, BSD, Apache 2.0 ou GPL suivant le contexte) créé par Jason A. Donenfeld. Le site officiel étant accessible via ce lien : https://www.wireguard.com/.

WireGuard se veut être plus simple, rapide et sécurisé que les protocoles VPN communs que sont OpenVPN et IPsec.

La simplicité de configuration se passant en une seule phase standardisée contrairement à IPsec où deux phases, souvent difficiles à appréhender pour des novices, sont nécessaires. De plus la non utilisation de certificats, comme on la retrouve avec OpenVPN, simplifie la gestion à plus long terme et ne nécessite pas la création d’une PKI.
La sécurité est assurée avec l’utilisation de primitives cryptographiques modernes mais aussi par la mise à disposition d’une seule combinaison de méthodes de chiffrements. De plus le code complet de WireGuard tient sur environ 4 000 lignes ce qui facilite les audits de sécurité et réduit sa surface d’attaque.
La rapidité tient en grande partie des points précédents mais aussi parce que WireGuard fonctionne au niveau du noyau (seulement sous Linux) et non au niveau de l’espace utilisateur. Les tests présents sur le site officiel (https://www.wireguard.com/performance/) démontrent un très fort avantage de WireGuard sur OpenVPN et un avantage un peu plus ténu sur IPsec, à la fois en débit maximal atteint et en temps de latence. A savoir que d’autres tests sont disponibles sur Internet et tendent à placer WireGuard comme le plus performant même si l’écart n’est pas toujours aussi important, notamment avec IPsec.
C’est un VPN de niveau 3 du modèle OSI. C’est-à-dire que c’est la couche Réseau (IP, ICMP, ARP et DHCP principalement) qui est redirigée dans le tunnel VPN. Le client VPN pourra atteindre le réseau distant mais ne sera pas vu comme appartenant directement à ce réseau comme on l’aurait avec un VPN de niveau 2 (par exemple avec OpenVPN et l’utilisation de sa carte TAP).

---

Le tutoriel d’installation est disponible sur le wiki en suivant le lien ci-dessous :

https://wiki.planete-warez.net/fr/informatique/sécurité/wireguard

[Hadès]

@Violence

Comment te dire j’ai pas piger un seul mot du truc :yeah_dent-petee:

Mais merci pour le partage les pros apprecieront sûrement

[Ashura]

en tout cas WireGuard ca dépote, plus besoin de couper le VPN pour télécharger ou jouer

[Mister158]

@Ashura oui mais est ce que c’est une bonne protection ???

et ça dépote comment stp ???

tu pourais faire un speedtest avec stp ???

[Ashura]

@Mister158 ba niveau protection c’est meilleur que OpenVPN et IPsec donc de ce côté pas de soucis

https://i.imgur.com/9Bgn3yt.png

en download réel je suis a 120mo/s et avec le vpn je monte a 90-95 donc peu de perte

[Aerya]

Notez que vous pouvez aussi installer un client/serveur WG via Docker ou un script. Pour ce dernier vous avez celui d’Angristan : https://github.com/angristan/wireguard-install

Pour Docker, coté client : https://github.com/qdm12/gluetun
Exemple pour AirVPN :

docker run -d \
--name airvpn \
--cap-add=NET_ADMIN \
-e VPN_SERVICE_PROVIDER=custom \
-e VPN_TYPE=wireguard \
-e VPN_ENDPOINT_IP=* \
-e VPN_ENDPOINT_PORT=1637 \
-e DNS_ADDRESS=1.1.1.1 \
-e DOT=off \
-e TZ=Europe/Paris \
-e FIREWALL_VPN_INPUT_PORTS=37284 \
-e FIREWALL_OUTBOUND_SUBNETS=10.0.4.0/24 \
-p 37284:37284 \
-p 1802:5076 \
-p 1975:6501 \
-p 932:9080 \
-e WIREGUARD_PUBLIC_KEY=* \
-e WIREGUARD_PRIVATE_KEY=* \
-e WIREGUARD_PRESHARED_KEY=* \
-e WIREGUARD_ADDRESSES="10.144.13.159/10" \
qmcgaw/gluetun:latest

Et pour la partie serveur vous avez le Docker de lsio : https://github.com/linuxserver/docker-wireguard

[LimeCat]

Bonsoir,

Un super blog post de lsio qui m’a beaucoup. aidé sur l’utilisation de wireguard avec docker :
https://www.linuxserver.io/blog/routing-docker-host-and-container-traffic-through-wireguard

La dernière partit qui parle de la modification de la route par default des container pour utilisé le container client VPN, sans la contrainte d’utiliser l’interface réseaux de celui-ci ( comme c’est le cas avec le --network=container:xxx ) et interessante.
Surtout pour les utilisateur de reverse comme Traefik ou SWAG ou ayant un bon nombre de containers sur la machine.

Ce n’est pas super documenté sur le net encore, mais vraiment pratique.